🌐 大米机场官网控制台与内容联动提示
本文由大米机场官方技术团队发布。若需体验文章中提及的深新IEPL专线、TUICv5高并发节点或纯净家宽住宅IP，可随时登录大米机场官网控制台一键提取最新订阅并一键导入 NekoBox / Clash。
在企业团队办公、研发实验室或高阶家庭网络环境中，如果要求每一台终端设备单独安装并配置代理客户端，不仅运维管理成本极高，而且无法覆盖打印机、电视盒、IoT 设备以及无图形界面的开发服务器。利用现有的基础设施构建旁路网关（Bypass Gateway），并将代理核心以后台守护进程形式运行于 Docker 容器中，是实现无感透明加速的终极方案。
旁路网关拓扑逻辑与传统主路由模式对比
传统的网络拓扑要求所有的上网流量必须串行经过主路由器进行数据转发。然而普通硬路由由于 CPU 算力有限，在面对复杂加解密算法或大规模规则匹配时，极易造成 CPU 占满、丢包率飙升。
旁路网关模式则采取旁路并行解耦设计：主路由器继续处理 DHCP 分发与基础 NAT 转换，而将 Docker 轻量容器化代理部署于独立的工控机、PVE 虚拟机或 NAS 设备上。局域网内部需要加速的终端只需要将其默认网关 IP 指向 Docker 旁路网关，数据包在旁路设备内部完成加密解密后，直接通过大米机场深新IEPL极速低延迟专线打通出海通道，即不影响主网络稳定性，又大幅提升了吞吐效率。
| 组网部署架构 | 网络故障风险隔离度 | 代理加解密性能上限 | 终端零配置侵入性 | 推荐应用场景 |
|---|---|---|---|---|
| 全终端单独安装 App | 极高 (单机互不影响) | 受终端 CPU 性能约束 | 差 (每台设备需单独导入) | 个人手机、移动出差笔记本 |
| 主路由器直接硬改刷机 | 低 (路由器宕机全家断网) | 较低 (受到硬路由芯片制约) | 高 (全局无感透明) | 小型出租屋、低复杂度网络 |
| Docker 容器化旁路网关 | 极其优秀 (旁路停机主网不断) | 极高 (充分利用 x86/ARM算力) | 最高 (手动修改网关即生效) | 企业实验室、Homelab、智能家居 |
AdGuard Home + Mosdns + Sing-box 链路集成配置
在 Docker 容器化旁路网关中，本地DNS污染与TCP重置修复是保障网络干净清爽的技术支柱。组合使用 AdGuard Home 负责广告拦截、Mosdns 负责精细化分流、Sing-Box 负责节点代理转发，构筑了最强大的云原生防线。
在配置层面上，Mosdns 将域名请求进行双向并发测试。凡是匹配国内 GEOIP 库的域名直接由本地运营商 DNS 解析；凡是匹配国外 GEOIP 的域名则通过加密 DoH 丢给 Sing-box 容器转发给大米机场高防专线节点。结合 NekoBox 全内核代理导入生成的标准化 JSON 文件，实现了毫秒级解析与防污染。
网关重定向与流量环路排障清单
在部署旁路网关过程中，最常见的故障是出现“网络环路（Routing Loop）”导致整个局域网瘫痪，或者终端无法获取正确的 DNS 响应。对照以下清单可以迅速诊断修复。
Docker 旁路网关与混合云排障自查清单
- 确认旁路网关关闭 DHCP 服务：局域网内严禁同时开启两个 DHCP 服务器，必须由主路由器统一分发 IP 资源。
- 开启 Linux 系统的 IP 转发 (IP Forwarding)：在 Docker 宿主机执行
sysctl -w net.ipv4.ip_forward=1，防止旁路网关丢弃非本机 Mac 地址的数据包。 - 检查 iptables MASQUERADE 规则：在旁路网关上配置正确的 NAT 伪装规则，确保回程数据包能够准确找到主路由与终端地址。
- 核查旁路网关本身的 DNS 设定：旁路网关自身的 DNS 必须指向公网传统 DNS（如 114.114.114.114），严禁指向自身，否则将引发死循环。